Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах, opennews (??), 31-Мрт-22, (0) [смотреть все] Жаба как обычно, самая безопасная Банально из-за сложности и многослойных нагро, Аноним (1), 10:22 , 31-Мрт-22, (1) +14 // Неа Дело в попытке быстро получить бизнес результат Поэтому халтурят во все лоп, А (??), 10:42 , 31-Мрт-22, (4) +4 // Как будто не под рутом что-то изменило бы У жабаприложения и так есть доступ , пох. (?), 10:56 , 31-Мрт-22, (6) +9 // Речь про отношение людей к теме Это может и да, если всё в целом А про рута ист, А (??), 11:02 , 31-Мрт-22, (9) –1 Ну потому что правда ни от чего не поможет и только займет лишнее время Обычно , пох. (?), 12:55 , 31-Мрт-22, (25) –1 А уметь-то умеют Только это ж работу работать надо А на улице - весна , A (?), 14:55 , 31-Мрт-22, (55) Не умеют В гугле искать умеют - но это ж искать надо, а там спринт не ждет На , пох. (?), 16:24 , 31-Мрт-22, (64) ой, извини сглазил Нашли они в гугле, пока я тебе предыдущее писал как , пох. (?), 16:28 , 31-Мрт-22, (65) Получил root контейнера, а дальше с ним со делать В контейнере кроме jvm и при, Аноним (17), 11:58 , 31-Мрт-22, (17) –2 // Там всякие капабилити включены, конт привилегированный и прочие лёгкие способы , А (??), 12:02 , 31-Мрт-22, (18) Даже встречал как за своё выдают основную и первую идею контейнеризации и изоляц, А (??), 12:05 , 31-Мрт-22, (20) А в конфиге приложения - всё, что нужно для доступа к БД, с которой это приложен, YetAnotherOnanym (ok), 12:58 , 31-Мрт-22, (26) Поэтому я решил что конфиги - г-но, немедля поперекодить все так чтоб все сикрет, твой начальник (?), 14:15 , 31-Мрт-22, (42) Пральна, и каждый день выпускать апдейт, в котором всё будет в новых местах, что, YetAnotherOnanym (ok), 14:34 , 31-Мрт-22, (49) Но пароли будут всегда старые, потому что не все те места удается найти и поменя, пох. (?), 16:29 , 31-Мрт-22, (66) так это же не зависит от того root там или не root Всё самое ценное будет досту, Аноним (67), 16:42 , 31-Мрт-22, (67) дык Эспертам опеннета это понимание чуждо Другой вопрос, правда, в том, что чер, пох. (?), 17:27 , 31-Мрт-22, (71) Т е фактически вы своим постом подтвердили, что жаба тотальный легаси Дело был, Брат Анон (ok), 14:13 , 31-Мрт-22, (41) +1 Стандартная история с рефлексией-десериазилацией Такое безопасно делать только , Аноним (27), 12:59 , 31-Мрт-22, (27) Спасибо г-споди, что я с этим больше не работаю , name (??), 10:35 , 31-Мрт-22, (2) // А с чем работаете , vellkira (?), 10:48 , 31-Мрт-22, (5) // не с этим, Аноним (14), 11:38 , 31-Мрт-22, (14) +1 С лопатой на стройке, Аноним (31), 13:13 , 31-Мрт-22, (31) +8 не воспроизвелось Так херово работает все, что даже эксплойты не работают, Анонимыч (?), 11:02 , 31-Мрт-22, (8) –1 Но ведь даже без учёта уязвимостей - жаба тормозная и жручая Кто в здравом уме , YetAnotherOnanym (ok), 11:06 , 31-Мрт-22, (10) –4 // Производители железа одобряют, Аноним (12), 11:16 , 31-Мрт-22, (12) +4 зайдите на хх ру да спросите у всех тамошних работодателей из сферы ИТ, Аноним (15), 11:39 , 31-Мрт-22, (15) // Сейчас в результате февральских событий есть подозрение, что все это последие 30, Аноним (91), 00:00 , 05-Апр-22, (91) А она настолько была прогрессивнее Сей, что профит от того поборол Как написано , А (??), 11:39 , 31-Мрт-22, (16) +1 // Дак класс RC счетчика а смарт поинтеры в плюсах уже из коробки в сях можно нап, Аноним (91), 00:02 , 05-Апр-22, (92) // В синтаксисе Язык идеален для ОЧЕНЬ больших проектов, и наоборот, совершенно не, Z (??), 02:31 , 02-Май-22, (98) +1 Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика В яв, Аноним (19), 12:04 , 31-Мрт-22, (19) +1 // 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного , Аноним (22), 12:39 , 31-Мрт-22, (22) +1 // Целых 3 тысячи При том что стек который это держит скорее всего чуть более, чем, server_push (?), 14:05 , 31-Мрт-22, (38) 64к коннектов одновременно обрабатывали на нескольких томкатах, которые на одной, Анонимыч (?), 16:04 , 31-Мрт-22, (62) а сессий десятки - сотни тысяч были и все летало на тормозной джаве Надо прос, Анонимыч (?), 16:10 , 31-Мрт-22, (63) Дооо Уж мы сейчас как всю память в системе отхаваем, да все свои структуры да, YetAnotherOnanym (ok), 12:53 , 31-Мрт-22, (24) –3 // это просто у тебя код г-но Вот как надо правильно дорогая техподдержка - а че, пох. (?), 13:01 , 31-Мрт-22, (28) Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно , YetAnotherOnanym (ok), 13:06 , 31-Мрт-22, (30) на яве пишут долгоиграющие приложения То, что он будет раз в месяц запускаться , Аноним (19), 13:20 , 31-Мрт-22, (32) +3 Вообще-то, кроме жабы на белом свете существуют не только php и python Ну да ла, YetAnotherOnanym (ok), 13:51 , 31-Мрт-22, (35) –4 Для корпоративных приложений кроме явы есть только сишарп, period А так да, для, Аноним (19), 13:58 , 31-Мрт-22, (36) +2 Ну да, ну да , YetAnotherOnanym (ok), 14:08 , 31-Мрт-22, (39) –3 Да есть, вообще-то, на белом свете один ЯП, специально созданный для написания н, YetAnotherOnanym (ok), 14:04 , 31-Мрт-22, (37) –3 // но ты про этот язык никому не расскажешь, верно А если и расскажешь, то выяснит, Аноним (19), 14:17 , 31-Мрт-22, (43) +4 Конечно нет, зачем людей смущать Вон как они бодро плюсуют свои каменты, в их м, YetAnotherOnanym (ok), 14:21 , 31-Мрт-22, (45) –2 ну тогда продолжай пребывать в воображаемом мирке, где изобрели серебряную пулю , Аноним (19), 14:30 , 31-Мрт-22, (47) +2 Имя, брат, имя Неужели эрланг богомерз богоподобный или эликсир, на нем наст, Аноним (82), 11:18 , 01-Апр-22, (82) Не могу, обещал не говорить Но вобщем - те же яблоки, только в профиль , YetAnotherOnanym (ok), 23:41 , 01-Апр-22, (84) Бежать немедленно с этой жабы, Аноним12345 (?), 11:26 , 31-Мрт-22, (13) // Дети всегда куда-то бегут Откуда-то или куда-то, неважно, направление задают экс, ms is a piece of s (?), 14:23 , 31-Мрт-22, (46) +2 Жаба это давно уже легаси сводящееся к поддержке и допилу под нужды Джуны нафиг, Смузихлёб (?), 12:06 , 31-Мрт-22, (21) –2 А к embedded tomcat не относится что-ли Только если war-ник и на отдельном Tomc, Аноним (23), 12:49 , 31-Мрт-22, (23) // However, if Spring is deployed using the Embedded Tomcat Servlet Container the c, An onymous (?), 21:03 , 01-Апр-22, (83) кто из опытных ушел из джавы в Го, как оно , WebBonobo (?), 13:01 , 31-Мрт-22, (29) // Я пытался подучить жабу как-то Что меня с первого же шага выбесило -- нужно прой, Брат Анон (ok), 14:18 , 31-Мрт-22, (44) +1 // Скорее всего разработка ПО это не твое Уж жаба-то проще сей и крестов Корпо-лопа, ms is a piece of s (?), 14:30 , 31-Мрт-22, (48) –2 // Угу, наверное ты прав Ответил главный эксперт блока по техническому развитию о, Брат Анон (ok), 15:18 , 31-Мрт-22, (58) +2 какая госкорпорация, такие и главные эксперты, Аноним (89), 15:31 , 04-Апр-22, (89) –3 Да Это трудная работа, писать код, в котором сложно отклониться от нужного И и, A (?), 14:54 , 31-Мрт-22, (54) –1 Большей шизофазии ппро джаву почти не встречал, Джавистсанитар (?), 15:37 , 31-Мрт-22, (60) –4 Когда java разрабатывалась utf-8 еще небыло Для внутренних строк используется е, Аноним (67), 16:54 , 31-Мрт-22, (69) –2 // это не аргумент питон например еще старше и прожувал эту проблему utf16 скорее, Аноним (86), 17:41 , 02-Апр-22, (86) +3 Жабка вышла в 95-ом utf-8 - в 1992-ом А используемый жабкой utf-16 - в 96-ом Но, Аноним (89), 15:28 , 04-Апр-22, (88) –1 Насколько нужно затупить чтобы такое написать , eugener (ok), 22:12 , 31-Мрт-22, (76) –4   // Нисколько Все файлы сохранял в UTF-8 кодировка по умолчанию , и компилятор не , Брат Анон (ok), 09:09 , 01-Апр-22, (79) +4   Походу в винде дело происходило У Java в винде кодировка по умолчанию как раз 1, eugener (ok), 09:25 , 01-Апр-22, (80) +1   Почему-то компилятору golang, или pyhon -- никакие кодировки указывать не надо , Брат Анон (ok), 14:40 , 03-Апр-22, (87) +3   Проблема с УТФ-8 в консоли винды 8211 бага самой винды, а не джавы Проблема , Z (??), 02:02 , 02-Май-22, (95) // Ещё раз внимательно читаем текст При чём тут консоль При чём тут венда utf8 -, Брат Анон (ok), 12:41 , 02-Май-22, (99) Игого корпо-лопатен на уровне генетики Crystal прямой ему конкурент и заменитель, ms is a piece of s (?), 14:34 , 31-Мрт-22, (50) Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (56) Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (57) Проверил, на пашет если сервисы сделаны норм и разрешено только то, что разрешен, Аноним (34), 13:50 , 31-Мрт-22, (34) Еда Есть в конторе бизнесовое приложение Дико важное бизнесу Пилят типа ми, Funkey_33333 (?), 14:10 , 31-Мрт-22, (40) +3 // Бежать без оглядки надо из такой конторы Работа должна приносить удовольствие, , Z (??), 02:11 , 02-Май-22, (96) +1 Запускающим java приложения из под рута должны выдаваться трудовые книжки Адеква, ms is a piece of s (?), 14:41 , 31-Мрт-22, (51) // Уязвимости класса privilege elevation находят довольно часто, про них часто в но, Фняк (?), 17:27 , 04-Апр-22, (90) Вы из какого года вещание Трудовые книжки сейчас остались лишь в госучреждениях, Z (??), 02:13 , 02-Май-22, (97) +1 Любителям тащить в рот всё новое посвящается , Аноним (52), 14:47 , 31-Мрт-22, (52) +1 А кто-то использует что-то новее JAVA8 для серьезных задач Там где легаси и коп, IdeaFix (ok), 15:26 , 31-Мрт-22, (59) +2 // На уже предыдущей работе использовали java 11, что openjdk Собирались java 13, , Stanislavvv (?), 15:47 , 31-Мрт-22, (61) –1 // А какой смысл использовать не LTS У нее же срок поддержки пол года, пока что-то, Аноним (67), 16:57 , 31-Мрт-22, (70) JDK 11 она LTS и много где давно уже используется Через год можно будет уже 17 и, ms is a piece of s (?), 16:53 , 31-Мрт-22, (68) почти все вакансии во всяких криптостартапах, яндексы, тупкофф и остальном подоб, лютый жабби__ (?), 18:10 , 31-Мрт-22, (73) // Поддерживаю несколько легаси проектов моё легаси еще поддерживается разработчик, IdeaFix (ok), 21:48 , 31-Мрт-22, (75) // поискал бы нормальную работу а я уже накатил 2 6 6 и забыл хотя у нас только , лютый жабби__ (?), 23:03 , 31-Мрт-22, (77) Хз, мне нравится к тому же, поддержка легаси - это скорее дополнительное на п, IdeaFix (ok), 13:31 , 02-Апр-22, (85) Предложенное решение НЕ сработает условие внутри матчера patternMatchUtils не , Аноним (72), 17:30 , 31-Мрт-22, (72) 1,2,8,10,13,21,23,29,34,40,51,52,59,72

Сообщения

[Сортировка по времени | RSS]

	76. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	–4 +/–
	Сообщение от eugener (ok), 31-Мрт-22, 22:12
	> жаба не поддерживает UTF-8 Насколько нужно затупить чтобы такое написать?
	Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

	79. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+4 +/–
	Сообщение от Брат Анон (ok), 01-Апр-22, 09:09
	>> жаба не поддерживает UTF-8 > Насколько нужно затупить чтобы такое написать? Нисколько. Все файлы сохранял в UTF-8 (кодировка по умолчанию), и компилятор не стал исходник кушать, пока принудительно не сохранил в CP-1251.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+1 +/–
	Сообщение от eugener (ok), 01-Апр-22, 09:25
	> Нисколько. Все файлы сохранял в UTF-8 (кодировка по умолчанию), и компилятор не > стал исходник кушать, пока принудительно не сохранил в CP-1251. Походу в винде дело происходило? У Java в винде кодировка по умолчанию как раз 1251, потому что это кодировка по умолчанию в Windows. У компилятора есть опция для указания кодировки. Я уж подумал что вы имели в виду что "жаба не поддерживает UTF-8" вообще. Решил что вы начали работать в 1996-ом году с JDK 1.0, там действительно не было работы с кодировками. И тогда же сразу разочаровались, не дождавшись версии 1.1 от 1997-го. И тогда же перешли на Go.
	Ответить | Правка | Наверх | Cообщить модератору

	87. "Критическая 0-day уязвимость в Spring Framework, применяемом..."	+3 +/–
	Сообщение от Брат Анон (ok), 03-Апр-22, 14:40
	> Походу в винде дело происходило? У Java в винде кодировка по умолчанию > как раз 1251, потому что это кодировка по умолчанию в Windows. > У компилятора есть опция для указания кодировки. Почему-то компилятору golang, или pyhon -- никакие кодировки указывать не надо. Нигде. Совсем. Java точно нормальные люди разрабатывали? Однобайтовая кодировка по умолчанию -- это из какого пещерного века стандарт? > Я уж подумал что вы имели в виду что "жаба не поддерживает > UTF-8" вообще. Решил что вы начали работать в 1996-ом году с > JDK 1.0, там действительно не было работы с кодировками. И тогда > же сразу разочаровались, не дождавшись версии 1.1 от 1997-го. И тогда > же перешли на Go. Нет, разумеется. Go ещё и 20 лет нету.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема